2013年10月
一、单项选择题（本大题共20小题，每小题1分，共20分） 1．病毒按破坏性划分可以分为( A ) A．良性病毒和恶性病毒 C．文件型病毒和引导型病毒
B．引导型病毒和复合型病毒 D．复合型病毒和文件病毒
2．在进行身份证明时，用个人特征识别的方法是( A ) A．指纹 B．密码 C．身份证 D．密钥 3．下列选项中，属于电子邮件的安全问题的是( D )
A．传输到错误地址 B．传输错误 C．传输丢失 D．网上传送时随时可能被人窃取到 4．RC-5加密算法中的可变参数不包括( A ) ．．．．．．A．校验位 B．分组长 C．密钥长 D．迭代轮数 5．一个明文可能有多个数字签名的算法是( D )
A．RSA B．DES C．Rabin D．ELGamal 6．数字信封技术中，加密消息密钥形成信封的加密方法是( B )
A．对称加密 B．非对称加密 C．对称加密和非对称加密 D．对称加密或非对称加密 7．防火墙的组成中不包括的是（C） ．．．A．安全操作系统 B．域名服务 C．网络管理员 D．网关 8．下列选项中，属于加密桥技术的优点的是( B ) A．加密桥与DBMS是不可分离的
B．加密桥与DBMS是分离的
D．加密桥与数据库无关
C．加密桥与一般数据文件是不可分离的 9．在不可否认业务中保护收信人的是( A )
A．源的不可否认性 B．提交的不可否认性 C．递送的不可否认性 D．A和B 10．为了在因特网上有一种统一的SSL标准版本，IETF标准化的传输层协议是( B ) A．SSL B．TLS C．SET D．PKI
11．能够全面支持电子商务安全支付业务的第三方网上专业信任服务机构是( A) A．CFCA B．CTCA C．SHECA D．PKI 12．下列选项中，属于中国电信CA安全认证系统结构的是( D )
A．地市级CA中心 B．地市级RA中心系统 C．省CA中心 D．省RA中心系统 13．美国的橘黄皮书中为计算机安全的不同级别制定了D，Cl，C2，Bl，B2，B3，A标准，其中称为结构化防护的级别是(C )
A．B1级 B．Cl级 C．B2级 D．C2级 14．下列选项中，属于提高数据完整性的预防性措施的是( D)
A．加权平均 B．信息认证 C．身份认证 D．奇偶校验 15．一系列保护IP通信的规则的集合称为( B )
A．VPN B．IPSec C．DMZ D．VPN Intranet 16．由系统管理员来分配接入权限和实施控制的接入控制方式是( C ) A．PKI B．DAC C．MAC D．VPN
17．在Kerberos认证中，把对Client向本Kerberos的认证域以外的Server申请服务称为( C ) A．域内认证 B．域外认证 C．域间认证 D．企业认证 18．下列关于数字证书的说法中不正确的是( A ) ．．．
A．在各种不同用途的数字证书类型中最重要的是私钥证书，它将公开密钥与特定的人联系起来 B．公钥证书是由证书机构签署的，其中包含有持证者的确切身份 C．数字证书由发证机构（认证授权中心CA）发行
D．公钥证书是将公钥体制用于大规模电子商务安全的基本要素 19．认证机构最核心的组成部分是( C )
A．安全服务器 B．CA服务器 C．数据库服务器 D．LDAP服务器 20．PKI中支持的公证服务是指( C )
A．身份认证 B．行为认证 C．数据认证 D．技术认性 二、多项选择题（本大题共5小题，每小题2分，共10分） 21．下列属于B-C电子商务模式的网站有( ABCD ) A．凡客诚品
B．一号店
C．京东商城
D．当当 E．阿里巴巴
22．下列选项中，属于数据完整性被破坏后会带来的严重后果的有( ABCDE) A．造成直接的经济损失 C．可能造成过不了“关”
E．造成电子商务经营的混乱与不信任
23．接入控制机构的建立主要根据的信息有( ABC)
A．主体 B．客体 C．接入权限 D．伪装者 E．违法者 24．SET系统的运作是通过软件组件来完成的，这些软件包括( ABCD)
A．电子钱包 B．商店服务器 C．支付网关 D．认证中心 E．RA中心 25．中国电信CA安全认证系统提供的证书有( ACDE )
A．安全电子邮件证书 B．网上银行证书 C．企业数字证书 D．服务器证书 E．SSL服务器证书
三、填空题（本大题共5小题，每空1分，共10分）
26．数字时戳应当保证数据文件加盖的_时戳_____与_存储数据_____的物理媒体无关。
27．病毒程序可通过_自我复制__迅速传播。判断一段程序是否为计算机病毒的依据是计算机病毒的_传染性_。
28．选择VPN解决方案时需要考虑的要点是__认证方法____、_支持的加密算法__支持的认证算法、支持的IP压缩算法、易于部署和兼容分布式或个人防火墙的可用性。
29．数据加密方法有_使用加密软件加密_____、_使用专用软件加密_____和加密桥技术。
B．影响一个供应链上许多厂商的经济活动 D．会牵涉到经济案件中
30．根据ITU-T Rec.X．509标准，公钥证书包括_申请证书个人___信息和__发行证书的CA___信息。 四、名词解释题（本大题共5小题，每小题3分，共15分）
31．访问控制性：指在网络上限制和控制通信链路对主机系统和应用的访问。用于保护计算机系统的资源不被未经授权人或以未授权方式接入、使用、修改、破坏、发出指令或植入程序等。
32．安全邮件证书：证实电子邮件用户的身份和公钥。有些传递安全电子邮件的应用程序使用证书，来验证用户身份和加密解密消息。
33．镜像技术：是数据备份技术的一种，将磁盘中的数据通过备份技术复制在镜像磁盘中，主要有网络数据镜像、远程镜像磁盘等。
34．VPDN：是指虚拟专用拨号网络，用户利用拨号网络访问企业数据中心，用户从企业数据中心获得一个私用地址，但用户数据可跨公共数据网络传输。
35．SSL记录协议：定义了信息交换中所有数据项的格式，包含了MAC数据、信息内容和附加数据等三个部分。
五、简答题（本大题共6小题，每小题5分，共30分） 36．防火墙不能防止哪些安全隐患？
不能阻止已感染病毒的软件或文件的传输；不能防止内部人员的工作失误或故意制造的威胁；无法防范通过防火墙以外的其他途径的攻击。 37．简述实体认证与消息认证的主要差别。
实体认证与消息认证的差别在于，消息认证本身不提供时间性，而实体认证一般都是实时的。另一方面，实体认证通常证实实体本身，而消息认证除了证实消息的合法性和完整性外，还要知道消息的含义。
38．简述发送方实现混合加密的过程。 求明文消息的消息散列值hA；
发送方用自己的私钥KSA对散列值进行数字签名h’； 将明文和数字签名h’合并为M’；
用随机产生的一个DES密钥KDFS加密M’得到C1；
用接收方的公钥加密DES密钥得到C2；发送方将C1和C2一起发送给接收方。 39．简述CA系统中安全服务器与用户的安全通信过程。
安全服务器与用户的通信采取安全信道方式。用户首先得到安全服务器的证书（该证书由CA颁发），然后用户与服务器之间的所有通信，包括用户填写的申请信息以及浏览器生成的公钥均以安全服务器的密钥进行加密传输，安全服务器利用自己的私钥解密得到明文。 40．简述PKI的构成体系。
（1）PKI是公钥的一种管理机制，每个PKI都有一定的覆盖范围，形成一个管理域；
（2）这些管理域通过交互证书相互关联，构成更大的管理域，最终形成全局性的公钥管理体系；
（3）不同的管理域对公钥的使用具有不同的要求，通过政策来表达； （4）每个PKI都包含政策审批机构（缩写，PAA）、CA、ORA等功能；
（5）任何一个管理域都有能力决定在别的域内哪一个证书管理是可以信任以及为什么可以信任； （6）PKI的最高管理是通过一个政策管理机构（缩写，PAA）来体现。 41．SET的技术范围包括哪些？
加密算法的应用；证书信息和对象格式；购买信息和对象格式；认可信息和对象格式； 划账信息和对象格式；对话实体之间消息的传输协议。 六、论述题（本大题共1小题，15分）
42．某一出版社要开展网上销售业务，请阐述它需要考虑的主要安全因素。
（1）可靠性：系统本身可靠，包括计算机硬件，计算机软件，电子商务系统等可靠，这是安全基础。 （2）真实性：要认证客户身份的真实性，防止欺骗行为。
（3）机密性：预防非法的信息存取和传送的信息被泄露，确保合法用户才能看到数据 （4）完整性：要预防数据被非授权建立，修改和破坏，保证数据的一致性。 （5）有效性：电子商务交易以电子形式取代了纸张，但交易的数据都要有效。
（6）不可抵赖性：电子商务手写签名和印章进行交易的确认已是不可能的，要确保发送方在发送数据后不能抵赖，
接收方在接收数据后也不能抵赖。
（7）内部网的严密性：企业内部网上保存着大量机密信息，一旦被恶意侵入，会给企业带来极大的混乱和损失，要
保证内部网不被侵入，是重点要考虑的安全问题。
2013年10月电子商务安全导论00997自考试题及答案
